-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2012-4001 JPCERT/CC 2012-10-17 <<< JPCERT/CC WEEKLY REPORT 2012-10-17 >>> ―――――――――――――――――――――――――――――――――――――― ■10/07(日)〜10/13(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Microsoft の複数の製品に脆弱性 【2】Adobe Flash Player に複数の脆弱性 【3】ISC BIND にサービス運用妨害 (DoS) の脆弱性 【4】Mozilla 製品群に複数の脆弱性 【5】Smarty にクロスサイトスクリプティングの脆弱性 【6】Cisco Firewall Services Module に複数の脆弱性 【7】Java セキュアコーディングセミナー@福岡 参加者募集開始 【今週のひとくちメモ】マイクロソフトセキュリティインテリジェンスレポート 第13版 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2012/wr124001.html https://www.jpcert.or.jp/wr/2012/wr124001.xml ============================================================================ 【1】Microsoft の複数の製品に脆弱性 情報源 US-CERT Alert (TA12-283A) Microsoft Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/techalerts/TA12-283A.html 概要 Microsoft の複数の製品には脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を実行したりする可 能性があります。 対象となる製品は以下の通りです。 - Microsoft Windows - Microsoft Office - Microsoft サーバー ソフトウェア - Microsoft Lync - Microsoft SQL Server この問題は、Microsoft Update などを用いて、セキュリティ更新プログラムを 適用することで解決します。詳細については、Microsoft が提供する情報を参 照して下さい。 関連文書 (日本語) Japan Vulnerability Notes JVNTA12-283A Microsoft 製品における複数の脆弱性に対するアップデート https://jvn.jp/cert/JVNTA12-283A/index.html Microsoft セキュリティ TechCenter 2012 年 10 月のセキュリティ情報 http://technet.microsoft.com/ja-jp/security/bulletin/ms12-oct JPCERT/CC Alert 2012-10-10 JPCERT-AT-2012-0032 2012年10月 Microsoft セキュリティ情報 (緊急 1件含) に関する注意喚起 https://www.jpcert.or.jp/at/2012/at120032.html 警察庁 @police マイクロソフト社のセキュリティ修正プログラムについて(MS12-064,065,066,067,068,069,070) http://www.npa.go.jp/cyberpolice/topics/?seq=10194 【2】Adobe Flash Player に複数の脆弱性 情報源 Adobe Security Bulletin Security updates available for Adobe Flash Player http://www.adobe.com/support/security/bulletins/apsb12-22.html 概要 Adobe Flash Player には複数の脆弱性があります。結果として、第三者が細工 したコンテンツをユーザに開かせることで、任意のコードを実行したり、サー ビス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 対象となるバージョンは以下の通りです。 - Windows 版 Flash Player 11.4.402.278 およびそれ以前 - Macintosh 版 Flash Player 11.4.402.265 およびそれ以前 - Linux 版 Flash Player 11.2.202.238 およびそれ以前 - Android 4.x 版 Flash Player 11.1.115.17 およびそれ以前 - Android 3.x/2.x 版 Flash Player 11.1.111.16 およびそれ以前 - Windows、Macintosh 版 Adobe AIR 3.4.0.2540 およびそれ以前 - Adobe AIR 3.4.0.2540 SDK (AIR for iOS を含む) およびそれ以前 - Android 版 Adobe AIR 3.4.0.2540 およびそれ以前 この問題は、Adobe が提供する修正済みのバージョンに Adobe Flash Player および Adobe AIR を更新することで解決します。詳細については、Adobe が提 供する情報を参照して下さい。 関連文書 (日本語) Adobe Flash Player Help APSB12-22: Adobe Flash Player に関するセキュリティアップデート公開 http://helpx.adobe.com/jp/flash-player/kb/cq10081118.html マイクロソフト セキュリティ アドバイザリ (2755801) Internet Explorer 10 上の Adobe Flash Player の脆弱性用の更新プログラム http://technet.microsoft.com/ja-jp/security/advisory/2755801 警察庁 @police アドビシステムズ社の Adobe Flash Player のセキュリティ修正プログラムについて https://www.npa.go.jp/cyberpolice/topics/?seq=10184 独立行政法人情報処理推進機構 (IPA) Adobe Flash Player の脆弱性対策について(APSB12-22)(CVE-2012-5248等) http://www.ipa.go.jp/security/ciadr/vul/20121009-adobeflashplayer.html JPCERT/CC Alert 2012-10-09 JPCERT-AT-2012-0031 Adobe Flash Player の脆弱性 (APSB12-22) に関する注意喚起 https://www.jpcert.or.jp/at/2012/at120031.html 【3】ISC BIND にサービス運用妨害 (DoS) の脆弱性 情報源 ISC Knowledge Base CVE-2012-5166: Specially crafted DNS data can cause a lockup in named https://kb.isc.org/article/AA-00801 概要 ISC BIND には、脆弱性があります。結果として、遠隔の第三者がサービス運用 妨害 (DoS) 攻撃を行う可能性があります。 対象となるバージョンは以下の通りです。 - ISC BIND 9.2 以降のすべての ISC BIND 9 この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョ ンに BIND を更新することで解決します。詳細については、ISC が提供する情 報を参照して下さい。 関連文書 (日本語) 株式会社日本レジストリサービス (JPRS) (緊急)BIND 9.xの脆弱性(サービス停止)について(2012年10月10日公開) http://jprs.jp/tech/security/2012-10-10-bind9-vuln-rr-combination.html JPCERT/CC Alert 2012-10-10 JPCERT-AT-2012-0033 ISC BIND 9 サービス運用妨害の脆弱性 (CVE-2012-5166) に関する注意喚起 https://www.jpcert.or.jp/at/2012/at120033.html 【4】Mozilla 製品群に複数の脆弱性 情報源 JC3 Bulletin V-001: Mozilla Security vulnerabilities http://energy.gov/cio/articles/v-001-mozilla-security-vulnerabilities 概要 Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が 任意のコードを実行したり、機密情報を取得したりする可能性があります。 対象となるバージョンは以下の通りです。 - Mozilla Firefox 16.0.1 より前のバージョン - Mozilla Firefox ESR 10.0.9 より前のバージョン - Mozilla Thunderbird 16.0.1 より前のバージョン - Mozilla Thunderbird ESR 10.0.9 より前のバージョン - Mozilla SeaMonkey 2.13.1 より前のバージョン この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新 することで解決します。詳細については、Mozilla が提供する情報を参照して 下さい。 関連文書 (日本語) Mozilla Foundation セキュリティアドバイザリ http://www.mozilla-japan.org/security/announce/ 【5】Smarty にクロスサイトスクリプティングの脆弱性 情報源 Japan Vulnerability Notes JVN#63650108 Smarty におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN63650108/index.html 概要 Smarty には、クロスサイトスクリプティングの脆弱性があります。結果として、 遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があ ります。 対象となるバージョンは以下の通りです。 - Smarty 3.1.11 およびそれ以前 - Smarty 2.6.26 およびそれ以前 この問題は、Smarty が提供する修正済みのバージョンに Smarty を更新するこ とで解決します。詳細については、Smarty が提供する情報を参照して下さい。 関連文書 (日本語) 独立行政法人情報処理推進機構 (IPA) 「Smarty」におけるクロスサイト・スクリプティングの脆弱性 http://jvndb.jvn.jp/ja/contents/2012/JVNDB-2012-000094.html 関連文書 (英語) Smarty Smarty 3.1.12 and Smarty 2.6.27 Released http://www.smarty.net/ 【6】Cisco Firewall Services Module に複数の脆弱性 情報源 JC3 Bulletin U-279: Cisco Firewall Services Module Bugs Let Remote Users Execute Arbitrary Code and Deny Service http://energy.gov/cio/articles/u-279-cisco-firewall-services-module-bugs-let-remote-users-execute-arbitrary-code-and 概要 Cisco Firewall Services Module (FWSM) には、複数の脆弱性があります。結 果として、遠隔の第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 対象となるバージョンは以下の通りです。 - FWSM バージョン 4.1(9) より前の 4.1 系 この問題は、Cisco が提供する修正済みのバージョンに FWSM を更新すること で解決します。詳細については、Cisco が提供する情報を参照して下さい。 関連文書 (日本語) Cisco Security Advisory Multiple Vulnerabilities in Cisco Firewall Services Module http://www.cisco.com/cisco/web/support/JP/111/1116/1116640_cisco-sa-20121010-fwsm-j.html 関連文書 (英語) Cisco Security Advisory Multiple Vulnerabilities in Cisco Firewall Services Module http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20121010-fwsm 【7】Java セキュアコーディングセミナー@福岡 参加者募集開始 情報源 JPCERT/CC Java セキュアコーディングセミナー@福岡のご案内 https://www.jpcert.or.jp/event/securecoding-FUK201212-seminar.html 概要 JPCERT コーディネーションセンターは、学生等の若年層向けに、Java 言語で 脆弱性を含まない安全なプログラムをコーディングする具体的なテクニックと ノウハウを学んでいただく「Java セキュアコーディングセミナー」を開催して います。このセミナーは、講義とハンズオン演習を組み合わせ、Java セキュア コーディングについて、より実践的に学んでいただける内容となっています。 このたび、福岡を会場として開催する「Java セキュアコーディングセミナー @福岡」の参加者募集を開始しました。参加者多数の場合はお申し込み先着順 となります。ふるってご参加ください。 [日時] 2012年12月9日(日) 10:30 - 16:00 [会場] リファレンス駅東ビル 会議室D 福岡市博多区博多駅東1丁目16-14 (MAP) http://www.re-rental.com/map.html [定員] 40名 [参加費用] 無料 [内容] Java言語とセキュリティ、脆弱性を取り巻く現状の認識 「オブジェクトの生成とセキュリティ」 「リソース消費攻撃とその対策」 Javaにおける脆弱なコーディングの事例の解説 クイズおよびハンズオン 関連文書 (日本語) JPCERT/CC Java セキュアコーディングセミナー@福岡 お申し込み https://www.jpcert.or.jp/event/securecoding-FUK201212-application.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○マイクロソフトセキュリティインテリジェンスレポート 第13版 マイクロソフトは、2012年上半期の脆弱性やマルウエア動向についてまとめた マイクロソフトセキュリティインテリジェンスレポートを公開しました。セキュ リティインテリジェンスレポートは、半年ごとに公開されており、今回は第13 版となります。 今回のレポートでは、"Mitigating risk" というセクションが設けられ、クロ スサイトスクリプティングや "pass-the-hash" 攻撃に対する対策について解説 されています。 参考文献 (日本語) マイクロソフト セキュリティ マイクロソフト セキュリティ インテリジェンス レポート http://www.microsoft.com/ja-jp/security/resources/sir.aspx 参考文献 (英語) Microsoft Security Intelligence Report (SIR) vol.13 http://www.microsoft.com/security/sir/default.aspx ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2012 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJQfgaqAAoJEDF9l6Rp7OBIgN0H/R/dNhW4Up1OmuXuML+Fr3ff xJkYNAybpROsNyfdyxqDhNlbmmHHyq36AH95pdUD/HNPe8EQwg6ZplA3/G0Vx8RS K6m23UaNwJPaEx5IwPmvr1P+VFAw9M5X2+39AOXTRrR6u19MFWQVacGaMrC8468p zx2VYihkQP8W70otSvTVIYbockXGygkn6uN1Imj1KRHljuT4iznta8KtkW0PnTyx hfly1p0Hd916ag+g4lYcMoAmQn2pS/DBCi7ExHcHOBFTPSzFHZOWEmjRkaiOBPWz egCmmyzQbTUgSI82X9wGp0QZvYlVC5gSH9/UxALifVyLzmNVwuidYwF7dsNprTg= =hvf6 -----END PGP SIGNATURE-----